Eigenaren van een draagbare HooToo-router zijn gewaarschuwd voor ernstige beveiligingslekken waardoor een aanvaller het apparaat op afstand kan overnemen en een firmware-update van de fabrikant is nog niet beschikbaar. Op een schaal van 1 tot en met 10 wat betreft de ernst van een kwetsbaarheid zijn de beveiligingslekken beoordeeld met een 9 tot en met een 9,8.

HooToo biedt verschillende draagbare routers aan met de naam "Tripmate", die onder andere voor het hosten en streamen van mediabestanden zijn te gebruiken. Onderzoeker Tao Sauvage van securitybedrijf IOActive besloot verschillende Tripmate-modellen te onderzoeken en ontdekte de kwetsbaarheden (pdf). Zo bevat een bestand van de webinterface bevat een kwetsbaarheid waardoor een aanvaller zonder inloggegevens een willekeurige shellscript kan uploaden dat met rootrechten wordt uitgevoerd.

Ook ontdekte Sauvage een uploadkwetsbaarheid die een aanvaller zonder inloggegevens volledige toegang tot de router geeft. De andere kwetsbaarheden die de onderzoeker aantrof laten een aanvaller zonder inloggegevens willekeurige commando's met rootrechten uitvoerren. Het versturen van een kwaadaardig request naar de router kan al voldoende zijn.

HooToo werd op 6 oktober 2017 over de kwetsbaarheden ingelicht. Het proces om de fabrikant te waarschuwen was echter moeizaam, zo blijkt uit de advisory van IOActive. Zo werd er op meerdere e-mails met informatie niet gereageerd. Een firmware-update is dan ook nog altijd niet beschikbaar. Wel kunnen gebruikers bepaalde kwetsbare onderdelen van de router via een curl-commando uitschakelen. Dit kan er echter voor zorgen dat de webinterface en de geavanceerdere features van de router niet meer te gebruiken zijn.